JP7226353B2 - 仮想ネットワークシステムおよび仮想ネットワーク制御方法 - Google Patents

Description

本発明は、仮想ネットワークシステム、仮想ネットワーク制御方法、制御装置およびそのプログラムに関する。

ＳＤＮ(Software-Defined Network)等の普及に伴い、ネットワークを仮想化する技術がより注目されており、特に、ＮＦＶ(Network Functions Virtualisation)と呼ばれる、キャリアネットワークのネットワークアプライアンスの機能を仮想化する技術の検討が進んでいる。

上記技術分野において、特許文献１には、仮想化装置が、専用アプライアンスごとに、仮想マシン上に仮想アプライアンスを構築する技術が開示されている。

特開２０１１－０３４４０３号公報

上述のＮＦＶ環境下では、キャリアに対して、ある特定のベンダが、ルータ、スイッチ、ゲートウェイ等のキャリアネットワーク向け製品を開発して生産し、さらに汎用サーバ上にソフト化された仮想アプライアンス(＝ＶＮＦ:Virtual Network Function）を実装して納入するという、いわゆるシステムインテグレーションまで行うことが予測される。

ある特定のベンダ１社が、キャリアネットワークを構成する全ての仮想アプライアンスまで開発するとは考え難く、ある特定の機能に関しては、サードパーティーのソフトウェアを納入するようなことが考えられる。このように、サードパーティー製のＶＮＦをシステムに組み込もうとする場合、ネットワークを運用するキャリアとしては、サードパーティー製のＶＮＦの正当性（妥当性）を考慮する必要がある。

しかしながら、上記特許文献１に記載の技術は、仮想マシン上に仮想アプライアンスを構築し、専用アプライアンスと同様のサービスを、仮想的に提供するための技術に過ぎず、システム全体を構築するベンダとは異なるサードパーティーが参入することまでは想定されていない。したがって、上記特許文献１に記載の技術では、オペレータがサードパーティー製の仮想ネットワーク機能を入れて仮想ネットワークシステムを構築しようとした場合、不正登録や改ざん、あるいは誤登録の発生を防止することができなかった。

本発明の目的は、上述の課題を解決する技術を提供することにある。

上記目的を達成するため、本発明に係る仮想ネットワークシステムは、
仮想ネットワークサービスの機能の１つを提供する、予め登録された仮想ネットワーク機能に対する更新を、前記仮想ネットワーク機能の提供者が指示する手段と、
前記提供者によって前記更新が指示された前記仮想ネットワーク機能に対する前記更新が許可されているか否かを判定する手段と、
前記更新が許可されている場合に、前記更新が指示された仮想ネットワーク機能が正当な提供者によって提供されていることを、前記提供者を示す識別情報に対応付けられた電子署名付仮想ネットワーク機能と、前記提供者を示す識別情報に対応付けられた検証鍵とに基づき認証する手段と、
前記更新が指示された仮想ネットワーク機能が正当な提供者によって提供されたことが認証された場合に、前記更新が指示された仮想ネットワーク機能を前記更新を指示した提供者に送信する手段と、
を備える。

上記目的を達成するため、本発明に係る仮想ネットワーク制御方法は、
仮想ネットワークサービスの機能の１つを提供する、予め登録された仮想ネットワーク機能に対する更新を、前記仮想ネットワーク機能の提供者が指示し、
前記提供者によって前記更新が指示された前記仮想ネットワーク機能に対する前記更新が許可されているか否かを判定し、
前記更新が許可されている場合に、前記更新が指示された仮想ネットワーク機能が正当な提供者によって提供されていることを、前記提供者を示す識別情報に対応付けられた電子署名付仮想ネットワーク機能と、前記提供者を示す識別情報に対応付けられた検証鍵とに基づき認証し、
前記仮想ネットワーク機能が正当な提供者によって提供されたことが認証された場合に、前記更新が指示された仮想ネットワーク機能を前記更新を指示した提供者に送信する。

本発明によれば、オペレータがサードパーティー製の仮想ネットワーク機能を入れて仮想ネットワークシステムを構築しようとした場合であっても、不正登録や改ざん、あるいは誤登録の発生を防止することができる。

本発明の第１実施形態に係る仮想ネットワークシステムの構成を示すブロック図である。 本発明の第２実施形態に係る仮想ネットワークシステムの動作概要を示す図である。 本発明の第２実施形態に係る仮想ネットワークシステムの構成を示すブロック図である。 本発明の第２実施形態に係る仮想ネットワークサービスのサービスチェインを示す図である。 本発明の第２実施形態に係る仮想ネットワークサービスの他のサービスチェインを示す図である。 本発明の第２実施形態に係る仮想ネットワークサービスのさらに他のサービスチェインを示す図である。 本発明の第２実施形態に係る仮想ネットワークシステムの動作手順を示すシーケンス図である。 本発明の第２実施形態に係る仮想ネットワークシステムの他の動作手順を示すシーケンス図である。 本発明の第２実施形態に係る制御装置の機能構成を示すブロック図である。 本発明の第２実施形態に係る物理サーバを制御する制御部の機能構成を示すブロック図である。 本発明の第２実施形態に係る管理データベースの構成を示す図である。 本発明の第２実施形態に係る運用管理装置の機能構成を示すブロック図である。 本発明の第２実施形態に係る管理テーブルの構成を示す図である。 本発明の第２実施形態に係る認証データおよびＶＮＦデータの構成を示す図である。 本発明の第２実施形態に係る認証データおよびＶＮＦデータの他の構成を示す図である。 本発明の第２実施形態に係る認証データおよびＶＮＦデータの他の構成を示す図である。 本発明の第２実施形態に係る認証データおよびＶＮＦデータの他の構成を示す図である。 本発明の第２実施形態に係る認証データおよびＶＮＦデータの他の構成を示す図である。 本発明の第２実施形態に係る認証データの他の構成を示す図である。 本発明の第２実施形態に係る認証データおよびＶＮＦデータの他の構成を示す図である。 本発明の第２実施形態に係る制御装置のＶＮＦ起動・変更処理の手順を示すフローチャートである。 本発明の第２実施形態に係る電子署名の正当／不当判定処理の手順を示すフローチャートである。 本発明の第３実施形態に係る仮想ネットワークシステムの動作概要を示す図である。 本発明の第３実施形態に係る仮想ネットワークシステムの動作概要を示す図である。 本発明の第３実施形態に係る仮想ネットワークシステムの構成を示すブロック図である。 本発明の第３実施形態に係る仮想ネットワークシステムの登録動作手順を示すシーケンス図である。 本発明の第３実施形態に係る仮想ネットワークシステムの他の登録動作手順を示すシーケンス図である。 本発明の第３実施形態に係る仮想ネットワークシステムの更新動作手順を示すシーケンス図である。 本発明の第３実施形態に係る制御装置の機能構成を示すブロック図である。 本発明の第３実施形態に係る登録更新装置の機能構成を示すブロック図である。 本発明の第３実施形態に係る登録更新可能判定テーブルの構成を示す図である。 本発明の第３実施形態に係る制御装置のＶＮＦ登録・更新処理の手順を示すフローチャートである。 本発明の第３実施形態に係るＶＮＦ更新処理の手順を示すフローチャートである。 本発明の第３実施形態に係るＶＮＦ登録処理の手順を示すフローチャートである。 本発明の第４実施形態に係る仮想ネットワークシステムの構成を示すブロック図である。 本発明の第４実施形態に係る仮想ネットワークシステムの動作手順を示すシーケンス図である。 本発明の第４実施形態に係る統合制御装置の機能構成を示すブロック図である。 本発明の第４実施形態に係る統合制御テーブルの構成を示す図である。 本発明の第４実施形態に係る統合制御装置の処理手順を示すフローチャートである。 本発明の第５実施形態に係る仮想ネットワークシステムの構成を示すブロック図である。 本発明の第５実施形態に係る統合制御装置の機能構成を示すブロック図である。 本発明の第５実施形態に係る仮想ネットワークシステムの他の構成を示すブロック図である。 本発明の第６実施形態に係る仮想ネットワーク機能の有効期間を設定する場合を示す図である。 本発明の第６実施形態に係る仮想ネットワーク機能の相性を考慮する場合を示す図である。

以下に、図面を参照して、本発明の実施の形態について例示的に詳しく説明する。ただし、以下の実施の形態に記載されている構成要素は単なる例示であり、本発明の技術範囲をそれらのみに限定する趣旨のものではない。

［第１実施形態］
本発明の第１実施形態としての仮想ネットワークシステム１００について、図１を用いて説明する。仮想ネットワークシステム１００は、仮想ネットワークサービスを管理するシステムである。

図１に示すように、仮想ネットワークシステム１００は、指示部１０１と、認証部１０２と、設定部１０３と、を含む。指示部１０１は、仮想ネットワークサービス１１０を提供する仮想ネットワーク機能（図中または明細書中では、ＶＮＦとも記す）１２２の起動または変更を指示する。認証部１０２は、起動または変更を指示された仮想ネットワーク機能１２２が正当に登録または更新されたか否かを、仮想ネットワーク機能１２２の登録時における仮想ネットワーク機能１２２の提供者を認証するための認証情報１２１に基づき認証する。設定部１０３は、認証部１０２により認証された場合に、指示された仮想ネットワーク機能１２２（１１５）を仮想ネットワークサービス１１０として設定する。

本実施形態によれば、起動または変更を指示された仮想ネットワーク機能の認証をするので、オペレータがサードパーティー製の仮想ネットワーク機能を入れて仮想ネットワークシステムを構築しようとした場合であっても、不正登録や改ざん、あるいは誤登録の発生を防止することができる。

［第２実施形態］
次に、本発明の第２実施形態に係る仮想ネットワークシステムについて説明する。本実施形態に係る仮想ネットワークシステムは、オペレータ端末から、既に登録済みの仮想ネットワーク機能の起動または変更が指示された場合に、対象の仮想ネットワーク機能が不正登録や改ざん、あるいは誤登録で無いことを確認するための認証を行なう。ここで、仮想ネットワーク機能の起動とは、既に登録済みの仮想ネットワーク機能を対象の仮想ネットワークで新たに起動することである。また、仮想ネットワーク機能の変更とは、対象の仮想ネットワークサービスに使用されている仮想ネットワーク機能を入れ替えることである。

本実施形態において、仮想ネットワークサービスとは、例えば、ネットワークシステムを使用するオペレータごとに定義されていてもよいし、オペレータがユーザに提供するサービス単位で定義されてもよい。

なお、本実施形態においては、認証を、仮想ネットワーク機能を供給した提供者（サードパーティーとも記載する）の電子署名に基づいて行なうが、認証方法が電子署名に限定されない。仮想ネットワーク機能の不正登録や改ざん、あるいは誤登録の発生を防止する認証方法が利用でき、例えば、暗号化と復号との組み合わせなどであってもよい。また、仮想ネットワーク機能（ＶＮＦ）としては、ＧＷ(gateway)、ＦＷ(Firewall)、ＬＢ(Load Balancer)、ＤＰＩ(Deep Packet Inspection)などが知られるが、キャリアネットワークを構築するあらゆる機能を含んでよい。また、ＶＮＦは、ＧＷ、ＦＷ等の一般的なネットワークにおける専用アプライアンス単位で定義されてもよいし、専用アプライアンスの有する各機能単位にて定義されてもよい。さらに、本実施形態の装置は、ハードウェアとして１つにまとまったものであっても、各機能を実現するソフトウェアで実現されるものであってもよい。その場合には、各装置とはハードウェアとしての境界を意味しなくてよい。

《仮想ネットワークシステム》
以下、図２乃至図４を参照して、本実施形態の仮想ネットワークシステムについて、詳細に説明する。

（動作概要）
図２は、本実施形態に係る仮想ネットワークシステム２００の動作概要を示す図である。図２は、仮想ネットワーク機能の起動あるいは変更を指示するオペレータ２０１が操作するオペレータ端末２１０の、本実施形態の操作中の表示例を示す。

表示画面２１１は、本実施形態の仮想ネットワークシステム２００を操作する権限をオペレータ２０１が有しているか否かの認証を行なう画面である。オペレータ２０１は、オペレータＩＤおよびパスワードを入力して認証を受ける。

オペレータ２０１の認証がされると、次に、表示画面２１２において、オペレータ２０１は、ＶＮＦの起動あるいは変更の対象となるサービスＩＤ（あるいは、キャリアＩＤ）と、起動あるいは変更の対象となる機能（ＶＮＦ）と、ＶＮＦを接続する経路の設定と、を入力する。なお、ＶＮＦを接続する経路の設定は、オペレータ２０１が入力しなくても、その機能間の関係から自動的に設定されてもよい。

ここで、本実施形態に基づく、対象のＶＮＦを対象の仮想ネットワークサービスにおいて起動あるいは変更してもよいか、すなわち、対象のＶＮＦが不正登録や改ざん、あるいは誤登録されたＶＮＦでないかを認証情報に基づいて認証する。本実施形態においては、認証情報として、ＶＮＦを提供者情報に基づいて認証する電子署名を使用する。あらかじめ登録された対象の電子署名付ＶＮＦを仮想ネットワーク機能データベース（以下、ＶＮＦデータベース）から読み出して、認証サーバに保存された対応する検証鍵（公開鍵）を用いて、電子署名の認証を行なう。

電子署名の認証で提供者本人であると受理されると、ＶＮＦデータベースから読み出されたＶＮＦが対象の仮想ネットワークに設定されて、オペレータ端末２１０の表示画面２１３には、ＶＮＦ起動完了あるいはＶＮＦ変更完了が表示される。一方、電子署名の認証で提供者本人でないと棄却されると、ＶＮＦデータベースから読み出されたＶＮＦには不正登録や改ざん、あるいは誤登録の恐れがあるとする。その結果、ＶＮＦ起動あるいはＶＮＦ変更は中止され、オペレータ端末２１０の表示画面２１４には、起動エラーあるいは変更エラーが発生し、その原因が電子署名の不当であることが示される。

（システム構成）
図３Ａは、本実施形態に係る仮想ネットワークシステム２００の構成を示すブロック図である。なお、仮想ネットワークシステム２００には、ＶＮＦ起動あるいはＶＮＦ変更に関連する構成が示されており、ＶＮＦは既にＶＮＦデータベースに登録されているものとして、ＶＮＦ登録あるいはＶＮＦ更新に関連する構成は示されていない。

仮想ネットワークシステム２００において、制御装置３１０は本実施形態のＶＮＦ起動あるいはＶＮＦ変更における認証と、その結果によるＶＮＦの設定とを制御する。認証サーバ３２０は、本実施形態のＶＮＦ起動あるいはＶＮＦ変更における認証のための認証情報を保持する。なお、認証サーバ３２０は、制御装置３１０の内部に設けられていてもよい。ＶＮＦデータベース３３０は、あらかじめ登録された電子署名付ＶＮＦを提供者情報やＶＮＦ識別子などで検索可能に格納する。検索キーは、提供者情報やＶＮＦ識別子に限定されず、ＶＮＦの不正登録や改ざん、あるいは誤登録の発生を防止するために種々に選択される。ここで、制御装置３１０、認証サーバ３２０およびＶＮＦデータベース３３０が、図１における認証部１０２および設定部１０３として機能する。

仮想ネットワークサービス３４０は、本実施形態に係る仮想ネットワークシステム２００に複数のＶＮＦを接続して提供されるサービスである。なお、仮想ネットワークサービス３４０は１つに限定されず、複数の異なるネットワークサービスが提供されてもよい。仮想ネットワークサービス３４０は、ＶＮＦを仮想マシン(ＶＭ：Virtual Machine)で実行する物理サーバ３４１と、物理サーバ３４１とのパケット転送をスイッチングする物理スイッチ３４３とを有する。そして、物理サーバ３４１は、種々の処理を実行する複数のＶＭと、複数のＶＮＦを経路に従って設定して仮想ネットワークサービス３４０を実現する制御部３４２とを有する。制御部３４２としては、“Ｏｐｅｎ ｖＳｗｉｔｃｈ”や“ＶＭＭ(Virtual Machine Manager)”などが用いられるが、詳細な説明は省略する。

運用管理装置３５０は、オペレータ端末２１０と接続され、ＶＮＦの起動または変更の指示を制御装置３１０に伝達する。ここで、運用管理装置３５０、あるいは、運用管理装置３５０およびオペレータ端末２１０が図１の指示部１０１として機能する。

図３Ａの構成において、ＶＮＦデータベース３３０には電子署名付ＶＮＦが検索可能に格納され、認証サーバ３２０には電子署名付ＶＮＦに対応する検証鍵（公開鍵）が保持されている。システムに認証されたオペレータによりオペレータ端末２１０からＶＮＦデータベース３３０に格納されたＶＮＦの起動あるいは変更が指示されると、運用管理装置３５０は、そのＶＮＦの起動あるいは変更の指示を制御装置３１０に送る。ＶＮＦの起動あるいは変更の指示にはＶＮＦを識別する識別子（例えば、ＩＤ：123やＩＤ：abcなど）が付加される。

ＶＮＦを識別する識別子は、オペレータ端末２１０や運用管理装置３５０において、オペレータが入力あるいは選択した機能名（例えば、ファイアウォール(Firewall)など）から変換されるのが望ましい。すなわち、オペレータ端末２１０からは、例えば、ファイアウォール(Firewall)、ロードバランサや負荷分散(Load Balancer)、ＤＰＩ(Deep Packet Inspection)などのオペレータが機能を把握し易い名前を、オペレータが入力あるいは選択する。そして、これら入力あるいは選択された名前が、オペレータ端末２１０や運用管理装置３５０でＶＮＦを識別する識別子（例えば、ＩＤ：123やＩＤ：abcなど）に変換されるのが望ましい。

制御装置３１０は、ＶＮＦの起動あるいは変更の指示を受けて、ＶＮＦデータベース３３０から対象の電子署名付ＶＮＦを検索すると共に、認証サーバ３２０から対応する検証鍵（公開鍵）を読み出す。そして、電子署名を認証する。なお、本実施形態においては、電子署名の認証のための演算などを制御装置３１０が行なうように構成しているが、認証に係る処理は全て認証サーバ３２０で行ない、その結果を制御装置３１０に返す構成であってもよい。

電子署名の認証がＯＫであるいわゆる受理された場合、制御装置３１０は、ＶＮＦデータベース３３０から検索したＶＮＦの設定を物理サーバ３４１の制御部３４２に指示することで、ＶＮＦの起動あるいは変更を実現する。なお、制御部３４２における起動あるいは変更されたＶＮＦの経路は、オペレータがオペレータ端末２１０から入力してもよいし、運用管理装置３５０や制御装置３１０で自動的に設定されてもよい。

一方、電子署名の認証がＯＫでないいわゆる棄却された場合、制御装置３１０は、ＶＮＦの起動あるいは変更を中止して、オペレータ端末２１０からオペレータにＶＮＦの起動エラーあるいは変更エラーを通知する。

（サービスチェイン例）
以下、図３Ｂ～図３Ｄを参照して、仮想ネットワークサービス３４０のサービスチェインの例を示す。なお、サービスチェインは図３Ｂ～図３Ｄの例に限定されず、図３Ｂ～図３Ｄの構成要素を組み合わせたものであってもよい。

図３Ｂは、本実施形態に係る仮想ネットワークサービス３４０のサービスチェインを示す図である。図３Ｂにおいては、１つの物理サーバ３４１においてＶＮＦがＶＭにより実行される。なお、物理サーバ３４１が提供可能なＶＮＦとしては、ＭＭＥ(Mobility Management Entity)、異なるＧＷ－ＡとＧＷ－Ｂ、ＤＰＩ、異なるＦＷ－ＡとＦＷ－Ｂ、ＬＢなどが含まれる。図３Ｂには、２つの異なるサービスチェイン（実線と破線）が示されている。これらは個々のユーザへのサービスであっても、キャリアへのサービスであってもよい。

実線のサービスチェインでは、物理スイッチ３４３から物理サーバ３４１に転送されたパケットに対して、制御部３４２に制御装置３１０から設定されたＶＮＦ情報とパス制御情報に基づいて、ＧＷ－ＢとＤＰＩとＦＷ－Ｂとが順次に制御部３４２で管理されたＶＭにより実行される。実行結果のパケットは、物理サーバ３４１から物理スイッチ３４３に戻されて、仮想ネットワークサービス３４０が提供される。

破線のサービスチェインでは、物理スイッチ３４３から物理サーバ３４１に転送されたパケットに対して、制御部３４２に制御装置３１０から設定されたＶＮＦ情報とパス制御情報に基づいて、ＭＭＥとＧＷ－ＡとＦＷ－Ａとが順次に制御部３４２で管理されたＶＭにより実行される。実行結果のパケットは、物理サーバ３４１から物理スイッチ３４３に戻されて、仮想ネットワークサービス３４０が提供される。

本実施形態においては、制御装置３１０による認証が正当な場合に、制御装置３１０から制御部３４２にＶＮＦの起動や変更が指示され設定される。

図３Ｃは、本実施形態に係る仮想ネットワークサービス３４０の他のサービスチェインを示す図である。図３Ｃにおいては、複数の物理サーバ３４１－１および３４１－２においてＶＮＦがＶＭにより実行される。なお、物理サーバ３４１－１が提供可能なＶＮＦとしては、ＭＭＥ、異なるＧＷ－ＡとＧＷ－Ｂ、ＤＰＩなどが含まれる。物理サーバ３４１－２が提供可能なＶＮＦとしては、異なるＦＷ－ＡとＦＷ－Ｂ、ＬＢなどが含まれる。図３Ｃには、２つの異なるサービスチェイン（実線と破線）が示されている。これらは個々のユーザへのサービスであっても、キャリアへのサービスであってもよい。

実線のサービスチェインでは、物理スイッチ３４３から物理サーバ３４１－１に転送されたパケットに対して、制御部３４２－１に制御装置３１０から設定されたＶＮＦ情報とパス制御情報に基づいて、ＧＷ－ＢとＤＰＩとが順次に制御部３４２－１で管理されたＶＭにより実行される。実行結果のパケットは、物理サーバ３４１－１から物理スイッチ３４３に戻される。次に、物理スイッチ３４３から物理サーバ３４１－２に転送されたパケットに対して、制御部３４２－２に制御装置３１０から設定されたＶＮＦ情報とパス制御情報に基づいて、ＦＷ－Ｂが制御部３４２－２で管理されたＶＭにより実行される。実行結果のパケットは、物理サーバ３４１－２から物理スイッチ３４３に戻されて、仮想ネットワークサービス３４０が提供される。

破線のサービスチェインでは、物理スイッチ３４３から物理サーバ３４１－１に転送されたパケットに対して、制御部３４２－１に制御装置３１０から設定されたＶＮＦ情報とパス制御情報に基づいて、ＭＭＥとＧＷ－Ａが順次に制御部３４２－１で管理されたＶＭにより実行される。実行結果のパケットは、物理サーバ３４１－２から物理スイッチ３４３に戻される。物理スイッチ３４３から物理サーバ３４１－２に転送されたパケットに対して、制御部３４２－２に制御装置３１０から設定されたＶＮＦ情報とパス制御情報に基づいて、ＦＷ－Ａが制御部３４２－２で管理されたＶＭにより実行される。実行結果のパケットは、物理サーバ３４１－２から物理スイッチ３４３に戻されて、仮想ネットワークサービス３４０が提供される。

本実施形態においては、制御装置３１０による認証が正当な場合に、制御装置３１０から制御部３４２－１および制御部３４２－２にＶＮＦの機能や変更が指示され設定される。

図３Ｄは、本実施形態に係る仮想ネットワークサービス３４０のさらに他のサービスチェインを示す図である。図３Ｄにおいては、複数の物理サーバ３４１－３～３４１－６において、それぞれ１つのＶＮＦがＶＭにより実行される。なお、物理サーバ３４１－３が提供可能なＶＮＦとしてはＭＭＥ、物理サーバ３４１－４が提供可能なＶＮＦとしてはＧＷ、物理サーバ３４１－５が提供可能なＶＮＦとしてはＤＰＩ、物理サーバ３４１－６が提供可能なＶＮＦとしてＦＷが設定されている。図３Ｄには、２つの異なるサービスチェイン（実線と破線）が示されている。これらは個々のユーザへのサービスであっても、キャリアへのサービスであってもよい。

実線のサービスチェインでは、物理スイッチ３４３から物理サーバ３４１－４に転送されたパケットに対して、制御部３４２－４に制御装置３１０から設定されたＧＷが制御部３４２－４で管理されたＶＭにより実行される。実行結果のパケットは、物理サーバ３４１－４から物理スイッチ３４３に戻される。次に、物理スイッチ３４３から物理サーバ３４１－５に転送されたパケットに対して、制御部３４２－５に制御装置３１０から設定されたＤＰＩが制御部３４２－５で管理されたＶＭにより実行される。実行結果のパケットは、物理サーバ３４１－５から物理スイッチ３４３に戻される。次に、物理スイッチ３４３から物理サーバ３４１－６に転送されたパケットに対して、制御部３４２－６に制御装置３１０から設定されたＦＷが制御部３４２－６で管理されたＶＭにより実行される。実行結果のパケットは、物理サーバ３４１－６から物理スイッチ３４３に戻されて、仮想ネットワークサービス３４０が提供される。

破線のサービスチェインでは、物理スイッチ３４３から物理サーバ３４１－３に転送されたパケットに対して、制御部３４２－３に制御装置３１０から設定されたＭＭＥが制御部３４２－３で管理されたＶＭにより実行される。実行結果のパケットは、物理サーバ３４１－３から物理スイッチ３４３に戻される。次に、物理スイッチ３４３から物理サーバ３４１－４に転送されたパケットに対して、制御部３４２－４に制御装置３１０から設定されたＧＷが制御部３４２－４で管理されたＶＭにより実行される。実行結果のパケットは、物理サーバ３４１－４から物理スイッチ３４３に戻される。次に、物理スイッチ３４３から物理サーバ３４１－６に転送されたパケットに対して、制御部３４２－６に制御装置３１０から設定されたＦＷが制御部３４２－６で管理されたＶＭにより実行される。実行結果のパケットは、物理サーバ３４１－６から物理スイッチ３４３に戻されて、仮想ネットワークサービス３４０が提供される。

本実施形態においては、制御装置３１０による認証が正当な場合に、制御装置３１０から制御部３４２－３乃至制御部３４２－６にＶＮＦの機能や変更が指示され設定される。

（動作手順）
図４Ａは、本実施形態に係る仮想ネットワークシステム２００の動作手順を示すシーケンス図である。図４Ａのシーケンスでは、制御装置３１０が電子署名生成や正当／不当の判定を行なう。

ステップＳ４０１において、オペレータ端末２１０と運用管理装置３５０との間でオペレータの認証処理が行なわれる。オペレータ認証がＯＫであれば、ステップＳ４０３において、オペレータ端末２１０から運用管理装置３５０に対して、対象の仮想ネットワークサービスに対して所望のＶＮＦの起動あるいは変更が指示される。

運用管理装置３５０は、ステップＳ４０９において、対象のＶＮＦの起動あるいは変更を制御装置３１０に指示する。オペレータが経路設定を行なう場合には、このＶＮＦの起動あるいは変更の指示には、ＶＮＦの経路を示すネットワーキングの情報も含まれてもよい。対象のＶＮＦの起動あるいは変更の指示は、制御装置３１０から認証サーバ３２０およびＶＮＦデータベース３３０にも伝達される。

ステップＳ４１１において、ＶＮＦデータベース３３０は、対象のＶＮＦの電子署名付ＶＮＦデータを抽出して、制御装置３１０に送信する。制御装置３１０は、ステップＳ４１３において、電子署名付ＶＮＦデータを取得する。また、ステップＳ４１５において、認証サーバ３２０は、対象のＶＮＦまたはＶＮＦ提供者（１提供者が１ＶＮＦを提供する場合）に対応する検証鍵（公開鍵）を抽出して、制御装置３１０に送信する。制御装置３１０は、ステップＳ４１７において、検証鍵（公開鍵）を取得する。そして、制御装置３１０は、ステップＳ４１９において、取得した電子署名付ＶＮＦデータと検証鍵（公開鍵）とを用いて、電子署名が正当か不当かを判定する。

電子署名付ＶＮＦデータの電子署名が正当と判定された場合、制御装置３１０は、ステップＳ４２１において、取得したＶＮＦを物理サーバ３４１の制御部３４２に設定し、オペレータ端末２１０にＶＮＦの起動完了あるいは変更完了を通知する。物理サーバ３４１の制御部３４２は、ステップＳ４２３において、設定されたＶＮＦの起動処理あるいは変更処理を実行する。また、オペレータ端末２１０は、ステップＳ４２５において、オペレータのＶＮＦの起動あるいは変更が完了したことを画面に表示してオペレータに報知する。一方、電子署名付ＶＮＦデータの電子署名が不当と判定された場合、制御装置３１０は、ステップＳ４２７において、取得したＶＮＦが不正登録や改ざん、あるいは誤登録されたＶＮＦの恐れがあるとして、起動あるいは変更を中止してエラーをオペレータ端末２１０に通知する。オペレータ端末２１０は、ステップＳ４２９において、ＶＮＦの起動エラーあるいは変更エラーを画面に表示してオペレータに報知する。

図４Ｂは、本実施形態に係る仮想ネットワークシステム２００の他の動作手順を示すシーケンス図である。図４Ｂのシーケンスでは、認証サーバ３２０が電子署名生成や正当／不当の判定を行なう。なお、図４Ｂにおいて、図４Ａと同様のステップには同じステップ番号を付して、説明を省略する。

ＶＮＦの起動や変更の指示を受けた場合に、制御装置３１０は、ステップＳ４５１において、かかるＶＮＦが正当か不当かの判定を認証サーバ３２０に要求する。認証サーバ３２０は、ステップＳ４５３において、ＶＮＦデータベース３３０から電子署名付ＶＮＦを取得する。また、認証サーバ３２０は、ステップＳ４５５において、ＶＮＦまたはＶＮＦ提供者に対応する検証鍵（公開鍵）を抽出する。そして、認証サーバ３２０は、ステップＳ４５７において、電子署名付ＶＮＦを検証鍵により正当／不当を判定し、判定結果を制御装置３１０に返信する。

制御装置３１０は、ステップＳ４５９において、ＶＮＦの正当／不当の判定結果を取得して、正当であればステップＳ４２１、また不当であればＳ４２７を実行する。

《制御装置の機能構成》
図５Ａは、本実施形態に係る制御装置３１０の機能構成を示すブロック図である。

制御装置３１０は、インタフェース５１１と、経路管理部５１２と、ＶＮＦ管理部５１３と、起動・変更制御部５１４と、管理データベース５１５とを備える。なお、管理データベース５１５は制御装置３１０の外部に設けられてもよい。

インタフェース５１１は、仮想ネットワークシステム２００を構成する他の構成要素との通信を行なう。本実施形態においては、認証サーバ３２０と接続して検証鍵（公開鍵）の通信を行ない、ＶＮＦデータベース３３０と通信して電子署名付ＶＮＦの通信を行なう。また、運用管理装置３５０を介してオペレータ端末２１０からのＶＮＦ情報を含むＶＮＦの起動指示あるいは変更指示を受信する。また、物理サーバ３４１の制御部３４２と接続して、ＶＮＦ制御情報およびパス情報を送信する。また、物理スイッチ３４３と接続して、経路制御情報を送信する。

経路管理部５１２は、インタフェース５１１を介して物理サーバ３４１の制御部３４２に対して経路制御を行なう。例えば、物理サーバ３４１の制御部３４２に対して、電子署名の認証結果が正当の場合に、取得したＶＮＦに対応する経路設定を指示する。経路管理部５１２としては、例えば、ＯｐｅｎＳｔａｃｋにおいて仮想ハイパーバイザ経由で仮想ネットワークを制御するＮｅｕｔｒｏｎなどが使用される。なお、経路管理部５１２は、経路管理情報に従って、物理サーバ３４１の外部の物理スイッチ３４３に対して経路設定を指示するようにしてもよい。また、ＶＮＦ管理部５１３は、運用管理装置３５０によるＶＮＦ管理情報も参照して、インタフェース５１１を介して物理サーバ３４１の制御部３４２に対してＶＭの制御を行なう。例えば、物理サーバ３４１の制御部３４２に対して、電子署名の認証結果が正当の場合に、取得したＶＮＦに対応するＶＭの設定を指示する。ここで、ＶＭの設定とは、例えば、ＶＭの立ち上げ、変更、削除を含む。ＶＮＦ管理部５１３としては、例えば、ＯｐｅｎＳｔａｃｋにおいて仮想ハイパーバイザ経由で仮想マシン（ＶＭ）の可動を制御するＮＯＶＡ Ｃｏｍｐｕｔｅなどが使用される。

起動・変更制御部５１４は、ＶＮＦの起動または変更の指示に基づいて、認証によりＶＮＦが正当か不当かの判定結果に基づいて、ＶＮＦの起動または変更を制御する。管理データベース５１５は、経路管理部５１２およびＶＮＦ管理部５１３により物理サーバ３４１の制御部３４２および物理スイッチ３４３を管理するための情報を格納する。

《物理サーバの制御部》
図５Ｂは、本実施形態に係る物理サーバ３４１を制御する制御部３４２の機能構成を示すブロック図である。

制御部３４２は、インタフェース５２１と、パス制御部５２２と、ＶＭ制御部５２３と、を備える。

インタフェース５２１は、仮想ネットワークシステム２００を構成する他の構成要素との通信を行なう。本実施形態においては、制御装置３１０と接続され、ＶＮＦ制御情報およびパス制御情報を受信する。また、物理スイッチ３４３と接続され、パケット情報を送受信する。また、ＶＮＦデータベース３３０から認証されたＶＮＦを受信する。

パス制御部５２２は、制御装置３１０から受信したパス制御情報に基づいて、ＶＮＦをＶＭで実行するパスを制御する。ＶＭ制御部５２３は、制御装置３１０から受信したＶＮＦ制御情報に基づいて、ＶＮＦおよびＶＮＦを実行するＶＭを制御する。

なお、起動あるいは変更のためのＶＮＦのインストールは、ＶＮＦデータベース３３０から直接、インストールしても、制御装置３１０を経由してインストールしてもよい。

（管理データベース）
図５Ｃは、本実施形態に係る管理データベース５１５の構成を示す図である。管理データベース５１５は、経路管理部５１２およびＶＮＦ管理部５１３により物理サーバ３４１の制御部３４２および物理スイッチ３４３を管理するために使用される。なお、管理データベース５１５の構成は図５Ｃに限定されない。

管理データベース５１５は、物理サーバ３４１の制御部３４２を管理するための管理テーブル５３０と、物理スイッチ３４３を管理するための管理テーブル５４０と、を含む。

管理テーブル５３０は、仮想ネットワークサービスを識別するための識別条件５３１と、各識別条件５３１に対応するＶＮＦ制御情報およびパス制御情報５３２と、を記憶する。識別条件５３１としては、例えば、キャリアを識別するキャリアＩＤやパケットを識別するパケットヘッダなどが含まれる。また、ＶＮＦ制御情報およびパス制御情報５３２には、ＶＮＦとそのパス順序（経路）とが含まれる。

管理テーブル５４０は、仮想ネットワークサービスを識別するための識別条件５４１と、各識別条件５４１に対応する経路制御情報５４２を記憶する。識別条件５４１としては、例えば、キャリアを識別するキャリアＩＤやパケットを識別するパケットヘッダなどが含まれる。また、経路制御情報５４２には、物理サーバとその経路とが含まれる。

《運用管理装置の機能構成》
図６Ａは、本実施形態に係る運用管理装置３５０の機能構成を示すブロック図である。

運用管理装置３５０は、インタフェース６１１と、オペレータ管理部６１２と、ＶＮＦ管理部６１３と、を備える。

インタフェース６１１は、仮想ネットワークシステム２００を構成する他の構成要素との通信を行なう。本実施形態においては、オペレータ端末２１０と接続して、オペレータが入力したＶＮＦの起動指示または変更指示とＶＮＦ情報やオペレータ認証情報とを受信し、ＶＮＦの起動結果または変更結果をオペレータ端末２１０に送信する。また、制御装置３１０と接続して、ＶＮＦの起動および変更の要求を送信し、電子署名の認証結果に対応したＶＮＦの起動結果または変更結果を制御装置３１０から受信する。

オペレータ管理部６１２は、オペレータを登録して、オペレータ端末２１０からのオペレータのアクセス承認の認証処理を行なう。ＶＮＦ管理部６１３は、ＶＮＦを管理するための管理テーブル６３０を有し、オペレータ端末２１０からのＶＮＦ情報、あるいは、制御装置３１０によるＶＮＦの起動・変更などのＶＮＦ制御情報などに基づいて、現在のＶＮＦの登録状態を管理する。

（管理テーブル）
図６Ｂは、本実施形態に係る管理テーブル６３０の構成を示す図である。管理テーブル６３０は、オペレータ端末２１０からのＶＮＦに関する操作のために使用される。なお、管理テーブル６３０の構成は、図６Ｂに限定されない。

管理テーブル６３０は、ＶＮＦの識別子であるＶＮＦ－ＩＤ６３１に対応付けて、ＶＮＦ名６３２、ＶＮＦの機能６３３、バージョン６３４、登録者６４５、登録日６３６、有効期間６３７、などを記憶する。

《認証データおよびＶＮＦデータ》
以下、図７Ａ乃至図７Ｇを参照して、本実施形態における、認証データおよびＶＮＦデータベースに保持されるＶＮＦデータについて、種々の構成を示す。しかしながら、認証データおよびＶＮＦデータの構成は、これらに限定されない。仮想ネットワーク機能の不正登録や改ざん、あるいは誤登録の発生を防止するために、仮想ネットワーク機能の提供者情報に他の情報を付加することができる。なお、図７Ａ乃至図７Ｇは組み合わせて認証を行なってもよい。なお、本実施形態の認証データである電子署名の算出については、ＶＮＦデータから算出してもよく、より機密性を高めるためにＶＮＦデータに検索用データを付加して算出してもよい。

（ＶＮＦによる認証）
図７Ａは、本実施形態に係る認証データおよびＶＮＦデータの構成を示す図である。図７Ａは、１つのＶＮＦ提供者（サードパーティー）に対して１つの機能提供が契約されている簡単な場合の、認証サーバ３２０に保持される認証データおよびＶＮＦデータベース３３０に格納されるＶＮＦデータの構成である。

認証サーバ３２０は、各ＶＮＦ情報７０１に対応付けて検証鍵（公開鍵）７０２を記憶する。なお、各ＶＮＦ情報７０１は、オペレータが入力する機能情報（図中の機能Ａや機能Ｂ）であっても、ＶＮＦ提供者が入力する提供者情報（図中のＸ社製やＹ社製）であってもよい。

ＶＮＦデータベース３３０は、各ＶＮＦ情報７０５に対応付けて電子署名付ＶＮＦデータ７０６を記憶する。なお、各ＶＮＦ情報７０５は、オペレータが入力する機能情報（図中の機能Ａや機能Ｂ）であっても、ＶＮＦ提供者が入力する提供者情報（図中のＸ社製やＹ社製）であってもよい。

図７Ａの場合には、提供機能またはＶＮＦ提供者に対応付けて電子署名が生成され、検証される。

（ＶＮＦおよび提供者による認証）
図７Ｂは、本実施形態に係る認証データおよびＶＮＦデータの他の構成を示す図である。図７Ｂは、１つのＶＮＦ提供者（サードパーティー）に対して複数の機能提供が契約されている場合の、認証サーバ３２０に保持される認証データおよびＶＮＦデータベース３３０に格納されるＶＮＦデータの構成である。

認証サーバ３２０は、各ＶＮＦ情報７１１に対応付けて検証鍵（公開鍵）７１２を記憶する。なお、各ＶＮＦ情報７１１は、機能情報およびＶＮＦ提供者情報を含む。

ＶＮＦデータベース３３０は、各ＶＮＦ情報７１５に対応付けて電子署名付ＶＮＦ７１６を記憶する。なお、各ＶＮＦ情報７１５は、機能情報およびＶＮＦ提供者情報を含む。

図７Ｂの場合には、異なる提供機能およびＶＮＦ提供者に対応付けて電子署名が生成され、検証される。

（同じＶＮＦを複数の提供者が提供する場合の認証）
図７Ｃは、本実施形態に係る認証データおよびＶＮＦデータの他の構成を示す図である。図７Ｃは、１つの機能に対して複数のＶＮＦ提供者（サードパーティー）の機能提供が契約されている場合の、認証サーバ３２０に保持される認証データおよびＶＮＦデータベース３３０に格納されるＶＮＦデータの構成である。

認証サーバ３２０は、各ＶＮＦ情報７２１に対応付けて検証鍵（公開鍵）７２２を記憶する。なお、各ＶＮＦ情報７２１は、機能情報およびＶＮＦ提供者情報を含み、複数のＶＮＦ提供者が１つの機能を提供してもよい。

ＶＮＦデータベース３３０は、各ＶＮＦ情報７２５に対応付けて電子署名付ＶＮＦ７２６を記憶する。なお、各ＶＮＦ情報７２５は、機能情報およびＶＮＦ提供者情報を含み、複数のＶＮＦ提供者が１つの機能を提供してもよい。

図７Ｃの場合には、１つの提供機能および複数のＶＮＦ提供者に対応付けて電子署名が生成され、検証される。

（起動あるいは変更を指示したオペレータを考慮する認証）
図７Ｄは、本実施形態に係る認証データおよびＶＮＦデータの他の構成を示す図である。図７Ｄは、ＶＮＦの起動あるいは変更を指示するオペレータを考慮した場合の、認証サーバ３２０に保持される認証データおよびＶＮＦデータベース３３０に格納されるＶＮＦデータの構成である。

認証サーバ３２０は、オペレータ７３１および各ＶＮＦ情報７３２に対応付けて検証鍵（公開鍵）７３３を記憶する。

ＶＮＦデータベース３３０は、オペレータ７３５および各ＶＮＦ情報７３６に対応付けて電子署名付ＶＮＦ７３７を記憶する。

図７Ｄの場合には、ＶＮＦの起動あるいは変更を指示するオペレータを考慮した電子署名が生成され、検証される。

（ＶＮＦのバージョンを考慮した認証）
図７Ｅは、本実施形態に係る認証データおよびＶＮＦデータの他の構成を示す図である。図７Ｅは、同じＶＮＦのバージョンの違いを考慮した場合の、認証サーバ３２０に保持される認証データおよびＶＮＦデータベース３３０に格納されるＶＮＦデータの構成である。

認証サーバ３２０は、バージョン７４１および各ＶＮＦ情報７４２に対応付けて検証鍵（公開鍵）７４３を記憶する。

ＶＮＦデータベース３３０は、バージョン７４５および各ＶＮＦ情報７４６に対応付けて電子署名付ＶＮＦ７４７を記憶する。

図７Ｅの場合には、同じＶＮＦのバージョンの違いを考慮した電子署名が生成され、検証される。

（ランダム識別子により保護された認証）
図７Ｆは、本実施形態に係る認証データの他の構成を示す図である。図７Ｆは、図７Ａ乃至図７Ｅのように、認証サーバ３２０の認証データにおいて、各ＶＮＦと検証鍵（公開鍵）とが直接、関連付いているのに対して、秘匿性を高めるためにランダム識別子により間接に関連付けられたものである。なお、検証鍵（公開鍵）の秘匿性を高める方法はこれに限定されない。

認証サーバ３２０は、各ＶＮＦ情報７５１に対応付けてランダム識別子７５２を記憶する。そして、ランダム識別子７６１に対応付けて検証鍵（公開鍵）７６２を記憶する。なお、かかるランダム識別子をオペレータやＶＮＦ提供者による認証に使用してもよい。

（暗号化と復号とによる認証）
図７Ｇは、本実施形態に係る認証データおよびＶＮＦデータの他の構成を示す図である。図７Ｇは、電子署名とは異なる認証方法に使用される認証サーバ３２０に保持される認証データの構成である。

認証サーバ３２０は、各ＶＮＦ情報７７１に対応付けて復号鍵７７２を記憶する。ＶＮＦデータベース３３０は、各ＶＮＦ情報７７５に対応付けて暗号化ＶＮＦ７７６を記憶する。

図７Ｇの場合には、ＶＮＦ情報に対応する暗号化が行なわれ、復号される。

《制御装置のＶＮＦ起動・変更処理の手順》
図８Ａは、本実施形態に係る制御装置３１０の仮想ネットワーク制御としてのＶＮＦ起動・変更処理の手順を示すフローチャートである。

制御装置３１０は、ステップＳ８０１において、オペレータ端末２１０からのＶＮＦの起動指示あるいは変更指示か否かを判定する。ＶＮＦの起動指示あるいは変更指示の場合、制御装置３１０は、ステップＳ８０３において、オペレータ端末２１０から入力された機能情報に対応するＶＮＦ識別子を受信する。なお、上述の図７Ａの場合、機能情報はＶＮＦ提供者情報として受信されてもよい。次に、制御装置３１０は、ステップＳ８０５において、オペレータの指示がＶＮＦの起動か変更かを受信する。受信する場合は、オペレータによるＶＮＦの起動か変更かの選択入力、あるいは、運用管理装置３５０における対象の仮想ネットワークサービスと対象のＶＮＦとに基づいた決定結果を受信する。また、制御装置３１０は、ステップＳ８０５において、自身で、対象の仮想ネットワークサービスと対象のＶＮＦとに基づいてＶＮＦの起動か変更かを決定してもよい。ＶＮＦの起動か変更かの決定は、対象の仮想ネットワークサービスとして現在稼働しているＶＮＦやその経路などを参照して、新たなＶＮＦの起動かＶＮＦの変更（入れ替え）かを決定する。

制御装置３１０は、ステップＳ８０７において、ＶＮＦ識別子またはＶＮＦ提供者識別子を、認証サーバ３２０およびＶＮＦデータベース３３０に送信して以下のデータ送信を要求する。ＶＮＦ識別子またはＶＮＦ提供者識別子の送信の応答として、制御装置３１０は、ステップＳ８０９において、ＶＮＦデータベース３３０からＶＮＦ識別子またはＶＮＦ提供者識別子に対応付いた電子署名付ＶＮＦを取得する。また、ＶＮＦ識別子またはＶＮＦ提供者識別子の送信の応答として、制御装置３１０は、ステップＳ８１１において、認証サーバ３２０からＶＮＦ識別子またはＶＮＦ提供者識別子に対応付いた検証鍵（公開鍵）を取得する。そして、制御装置３１０は、ステップＳ８１３において、取得した電子署名付ＶＮＦと検証鍵（公開鍵）とに基づいて、電子署名が正当か不当かの判定処理を実行する。

制御装置３１０は、ステップＳ８１５において、電子署名が正当か不当かの判定結果から処理を分岐する。電子署名が正当の場合、制御装置３１０は、ステップＳ８１７において、ＶＮＦデータベース３３０から取得したＶＮＦを対象の物理サーバ３４１の制御部３４２に設定する。そして、制御装置３１０は、ステップＳ８１９において、オペレータ端末２１０へ対象のＶＮＦの対象の仮想ネットワークサービスにおける起動あるいは変更の完了通知を行なう。一方、電子署名が不当の場合、制御装置３１０は、ステップＳ８２１において、ＶＮＦデータベース３３０から取得したＶＮＦを不正登録や改ざん、あるいは誤登録の可能性ありとして破棄し、オペレータ端末２１０にＶＮＦの起動あるいは変更のエラー通知を行なう。

なお、オペレータ端末２１０からのＶＮＦの起動指示あるいは変更指示でないと判定された場合、制御装置３１０は、ステップＳ８２３において、ＶＮＦの起動あるいは変更ではない他の処理を行なう。他の処理には、後述のＶＮＦの登録や更新の処理や、ＶＮＦの起動あるいは変更を含まないパス制御や経路制御なども含まれる。

（正当／不当判定処理）
図８Ｂは、本実施形態に係る電子署名の正当／不当判定処理（Ｓ８１３）の手順を示すフローチャートである。なお、図８Ｂは電子署名の一例における正当／不当判定処理を示すものであり、他の電子署名が同様に適用されてよい。

制御装置３１０は、ステップＳ８３１において、ＶＮＦデータベース３３０から取得した電子署名付ＶＮＦのＶＮＦデータに基づいてハッシュ値を算出する。次に、制御装置３１０は、ステップＳ８３３において、電子署名付ＶＮＦの電子署名を認証サーバ３２０から取得した検証鍵（公開鍵）で復号する。そして、制御装置３１０は、ステップＳ８３５において、ＶＮＦデータに基づくハッシュ値と、電子署名の復号値とが等しいか否かを判定する。

ＶＮＦデータに基づくハッシュ値と、電子署名の復号値とが等しい場合、制御装置３１０は、ステップＳ８３７において、電子署名の正当フラグをＯＮにする。一方、ＶＮＦデータに基づくハッシュ値と、電子署名の復号値とが等しくない場合、制御装置３１０は、ステップＳ８３９において、電子署名の不当フラグをＯＮにする。

なお、本実施形態においては、電子署名の正当／不当判定処理を制御装置３１０で実行するようにしたが、秘匿性を考慮した場合には、電子署名の正当／不当判定処理を認証サーバ３２０に委ねるのが望ましい。

本実施形態によれば、オペレータがサードパーティー製の仮想ネットワーク機能を入れて仮想ネットワークシステムを構築しようとした場合であっても、仮想ネットワーク機能が提供者情報の電子署名で保護されているので、不正登録や改ざん、あるいは誤登録の発生を防止することができる。

［第３実施形態］
次に、本発明の第３実施形態に係る仮想ネットワークシステムについて説明する。本実施形態に係る仮想ネットワークシステムは、上記第２実施形態と比べると、サードパーティーが仮想ネットワーク機能を登録または更新する場合に、電子署名付仮想ネットワーク機能と検証鍵（公開鍵）とを生成して登録する処理を含む点で異なる。その他の構成および動作は、第２実施形態と同様であるため、同じ構成および動作については同じ符号を付してその詳しい説明を省略する。すなわち、オペレータによる仮想ネットワーク機能の起動指示または変更指示における電子署名による認証処理は第２実施形態と同様であるため、本実施形態では説明を省略する。

《仮想ネットワークシステム》
以下、図９Ａ乃至図１１Ｂを参照して、本実施形態の仮想ネットワークシステムを詳細に説明する。なお、本実施形態では仮想ネットワーク機能の登録または更新に限定して説明するため、仮想ネットワークシステムおよび制御装置において、仮想ネットワーク機能の起動または変更の関連する構成は省かれている。

（登録の動作概要）
図９Ａは、本実施形態に係る仮想ネットワークシステム９００の動作概要を示す図である。図９Ａは、仮想ネットワーク機能の登録あるいは更新を指示するＶＮＦ提供者（サードパーティー）９０１が操作するサードパーティー端末９１０の、本実施形態の操作中の表示例を示す。

表示画面９１１は、ＶＮＦの登録あるいは更新をする権限をＶＮＦ提供者９０１が有しているか否かの認証を行なう画面である。ＶＮＦ提供者９０１は、供給元会社名、提供者ＩＤおよびパスワードを入力して認証を受ける。

ＶＮＦ提供者９０１の認証がされると、次に、表示画面９１２において、ＶＮＦの登録を指示する。なお、ＶＮＦの登録か更新かの選択は、ＶＮＦデータベース３３０のＶＮＦ格納状態から行なってもよいが、条件が複雑になるため本実施形態においてはＶＮＦ提供者９０１が入力するものとする。

次に、ＶＮＦ提供者９０１は、表示画面９１３から登録の対象とする機能（ＶＮＦ）と、オプションとしてそのバージョン情報を入力する。ここで、本実施形態に基づく、対象のＶＮＦを登録してもよいか、すなわち、対象のＶＮＦが不正登録や改ざん、あるいは誤登録されることを防止するための認証情報を生成して登録する。本実施形態においては、認証情報として、ＶＮＦを提供者情報に基づいて認証する電子署名を使用する。ＶＮＦ情報や提供者情報に基づく署名鍵（秘密鍵）を用いて電子署名を生成して、電子署名付ＶＮＦをＶＮＦデータベースに格納し、認証サーバに対応して生成した検証鍵（公開鍵）を保存する。

正常に電子署名付ＶＮＦと検証鍵（公開鍵）とが保持されると、サードパーティー端末９１０の表示画面９１４には、ＶＮＦ登録完了が表示される。一方、正常に電子署名付ＶＮＦと検証鍵（公開鍵）とが保持されない場合、サードパーティー端末９１０の表示画面９１５には、ＶＮＦ登録エラー（例えば、その原因としてＶＮＦ提供者には許可されてないＶＮＦ登録などの理由）が表示される。

（更新の動作概要）
図９Ｂは、本実施形態に係る仮想ネットワークシステム９００の動作概要を示す図である。図９Ｂは、仮想ネットワーク機能の登録あるいは更新を指示するＶＮＦ提供者（サードパーティー）９０１が操作するサードパーティー端末９１０の、本実施形態の操作中の表示例を示す。

表示画面９１５は、図９Ａと同様の、ＶＮＦの登録あるいは更新をする権限をＶＮＦ提供者９０１が有しているか否かの認証を行なう画面である。ＶＮＦ提供者９０１は、供給元会社名、提供者ＩＤおよびパスワードを入力して認証を受ける。ＶＮＦ提供者９０１の認証がされると、次に、表示画面９１６において、ＶＮＦの更新を指示する。

次に、ＶＮＦ提供者９０１は、表示画面９１７から登録の対象とする機能（ＶＮＦ）と、オプションとしてそのバージョン情報を入力する。ここで、本実施形態に基づく、更新対象のＶＮＦを読み出して更新してもよいか、すなわち、更新対象のＶＮＦが不正登録や改ざん、あるいは誤登録されたＶＮＦでないかを認証情報に基づいて認証する。本実施形態においては、認証情報として、ＶＮＦを提供者情報に基づいて認証する電子署名を使用する。あらかじめ登録された対象の電子署名付ＶＮＦをＶＮＦデータベースから読み出して、認証サーバに保存された対応する検証鍵（公開鍵）を用いて、電子署名の認証を行なう。なお、既存のＶＮＦを読み出すこと無しに、ＶＮＦの更新を新たなバージョンの追加で行なう場合には、図９Ａの登録と同様な手順となる。

電子署名の認証で提供者本人であると受理されると、ＶＮＦデータベースから読み出されたＶＮＦが更新対象のＶＮＦとして読み出されて、サードパーティー端末９１０の表示画面９１８には、ＶＮＦ更新開始が表示される。一方、電子署名の認証で提供者本人でないと棄却されると、ＶＮＦデータベースから読み出されたＶＮＦには不正登録や改ざん、あるいは誤登録の恐れがあるとする。その結果、ＶＮＦ更新は中止され、サードパーティー端末９１０の表示画面９１９には、更新エラーが発生し、その原因が電子署名の不当であることが示される。

なお、既存のＶＮＦを読み出して更新した後のＶＮＦは、新たに電子署名がされて電子署名付ＶＮＦが格納される。新たな電子署名付ＶＮＦの格納は、旧いＶＮＦを上書きしても、新たなバーションとして別途に格納してもよい。かかる、新たなＶＮＦの電子署名生成および電子署名付ＶＮＦの格納は、図９ＡのＶＮＦの登録処理と同様なので、図示および説明を省略する。

（システム構成）
図１０は、本実施形態に係る仮想ネットワークシステム９００の構成を示すブロック図である。なお、図１０において、図３Ａと同様の機能構成部には同じ参照番号を付して、同様の処理の説明を省略する。また、仮想ネットワークシステム２００には、ＶＮＦ登録あるいはＶＮＦ更新に関連する構成が示されており、図３のＶＮＦ起動あるいはＶＮＦ変更に関連する構成は示されていない。

仮想ネットワークシステム２００において、制御装置３１０は本実施形態のＶＮＦ登録における電子署名付ＶＮＦの生成、あるいは、ＶＮＦ更新のための認証と、その結果によるＶＮＦの更新とを制御する。認証サーバ３２０は、本実施形態のＶＮＦ登録における認証のために生成された認証情報を取得する。また、ＶＮＦ更新における認証のための認証情報を保持する。なお、認証サーバ３２０は、制御装置３１０の内部に設けられていてもよい。ＶＮＦデータベース３３０は、電子署名付ＶＮＦを提供者情報やＶＮＦ識別子などで検索可能に格納する。検索キーは、図７Ａ乃至図７Ｇのように、提供者情報やＶＮＦ識別子に限定されず、ＶＮＦの不正登録や改ざん、あるいは誤登録の発生を防止するために種々に選択される。

登録更新装置１０６０は、サードパーティー端末９１０と接続され、ＶＮＦの登録または更新の指示を制御装置３１０に伝達する。

図１０において、認証されたサードパーティー端末９１０からＶＮＦの登録が要求されると、ＶＮＦ提供者情報に基づいて擬似ランダム数を用いた所定アルゴリズムで署名鍵（秘密鍵）と検証鍵（公開鍵）とのペアが生成される。そして、署名鍵（秘密鍵）を用いて電子署名が生成され、電子署名付ＶＮＦがＶＮＦデータベース３３０に機能あるいは提供者により検索可能に格納される。また、対応する検証鍵（公開鍵）が機能あるいは提供者により検索可能に認証サーバ３２０に保存される。

一方、認証されたサードパーティー端末９１０からＶＮＦの更新が要求されると、ＶＮＦの起動や変更で行なわれた、不正登録や改ざん、あるいは誤登録を検出するための電子署名による認証が実行される。この認証処理は、ＶＮＦの起動や変更で行なわれた認証処理と同様なので、説明を省略する。電子署名による認証結果が正当である場合には、ＶＮＦデータベース３３０のＶＮＦを読み出して、サードパーティー端末９１０から更新指示をし、再度、更新後のＶＮＦに電子署名を付与してＶＮＦデータベース３３０への登録処理をする。

一方、電子署名の認証がＯＫでないいわゆる棄却された場合、ＶＮＦの更新を中止して、登録更新装置１０６０を介してサードパーティー端末９１０から提供者にＶＮＦの更新エラーを通知する。

（登録動作手順）
図１１Ａは、本実施形態に係る仮想ネットワークシステム９００の登録動作手順を示すシーケンス図である。図１１Ａは図４Ａに対応する。

ステップＳ１１１１において、サードパーティー端末９１０と登録更新装置１０６０との間でＶＮＦ提供者の認証処理が行なわれる。ＶＮＦ提供者認証がＯＫであれば、ステップＳ１１１３において、サードパーティー端末９１０から登録更新装置１０６０に対して、ＶＮＦの登録が指示される。

登録更新装置１０６０は、ステップＳ１１１５において、登録対象のＶＮＦがＶＮＦ提供者により登録してよいＶＮＦか否かを判定する。ＶＮＦ提供者により登録してよいＶＮＦと判定した場合、登録更新装置１０６０は、ステップＳ１１１７において、登録対象のＶＮＦと提供者情報とを制御装置３１０に送信して、ＶＮＦの登録を要求する。そして、制御装置３１０は、ＶＮＦの登録要求を認証サーバ３２０にも送信する。一方、ＶＮＦ提供者により登録してよいＶＮＦでないと判定した場合、登録更新装置１０６０は、ステップＳ１１１９において、サードパーティー端末９１０にエラー通知をする。サードパーティー端末９１０は、ステップＳ１１２１において、登録不可を表示して提供者に報知する。

認証サーバ３２０は、ステップＳ１１２３において、ＶＮＦの登録要求を受信すると電子署名生成のアルゴリズム（あるいは、アプリケーションプログラム）を制御装置３１０に送信する。なお、あらかじめ決められたアルゴリズムであれば、あるいは、認証サーバ３２０において電子署名を生成する構成の場合には、ステップＳ１１２３のアルゴリズム送信は必要でない。

制御装置３１０は、ステップＳ１１２５において、受信したアルゴリズムに従って、提供者情報に基づいて署名鍵（秘密鍵）と検証鍵（公開鍵）とのペアを生成する。そして、制御装置３１０は、ステップＳ１１２７において、生成した検証鍵（公開鍵）を認証サーバ３２０に送信する。認証サーバ３２０は、ステップＳ１１２９において、受信した検証鍵（公開鍵）を提供者情報（または機能情報）により検索可能に保持する。

制御装置３１０は、ステップＳ１１３１において、登録対象のＶＮＦと提供者情報と署名鍵（秘密鍵）とに基づいて電子署名を生成する。そして、制御装置３１０は、ステップＳ１１３３において、生成された電子署名付ＶＮＦの格納をＶＮＦデータベース３３０に指示する。ＶＮＦデータベース３３０は、ステップＳ１１３５において、電子署名付ＶＮＦをＶＮＦ提供者（または機能情報）により検索可能に蓄積する。

制御装置３１０は、ステップＳ１１３７において、ＶＮＦの登録完了をサードパーティー端末９１０に通知する。サードパーティー端末９１０は、ステップＳ１１３９において、ＶＮＦの登録完了を表示する。

図１１Ｂは、本実施形態に係る仮想ネットワークシステム９００の他の登録動作手順を示すシーケンス図である。図１１Ｂは、図４Ｂに対応する。なお、図１１Ｂにおいて、図１１Ａと同様のステップには同じステップ番号を付して、説明を省略する。
ＶＮＦの登録の指示を受けた場合に、制御装置３１０は、ステップＳ１１７１において、登録するＶＮＦの電子署名を認証サーバ３２０に要求する。認証サーバ３２０は、ステップＳ１１７３において、提供者情報に基づいて、署名鍵（秘密鍵）と検証鍵（公開鍵）とを生成する。次に、認証サーバ３２０は、ステップＳ１１７５において、検証鍵（公開鍵）を提供者情報により検索可能に保持する。そして、認証サーバ３２０は、ステップＳ１１７７において、ＶＮＦと提供者情報とに基づく電子署名を生成する。

制御装置３１０は、ステップＳ１１７９において、ＶＮＦの電子署名を認証サーバ３２０から取得する。

（更新動作手順）
図１１Ｃは、本実施形態に係る仮想ネットワークシステム９００の更新動作手順を示すシーケンス図である。なお、図１１Ａと同様のステップには同じステップ番号を付して、説明を省略する。なお、以下の更新動作手順は、図４Ａの起動・変更動作手順に対応する手順であるが、図４Ｂに対応する手順については図示および説明を省略する。

サードパーティー認証がＯＫであれば、サードパーティー端末９１０は、ステップＳ１１４３において、登録更新装置１０６０に対して、ＶＮＦの更新を指示する。

登録更新装置１０６０は、ステップＳ１１４５において、認証されたＶＮＦ提供者（サードパーティー）により更新可能なＶＮＦであるか否かを判定する。更新可能なＶＮＦである場合、登録更新装置１０６０は、ステップＳ１１４７において、ＶＮＦ提供者が提供者情報あるいはＶＮＦ識別子を制御装置３１０に送信して、更新対象のＶＮＦの取得を要求する。更新対象のＶＮＦの取得要求は、認証サーバ３２０およびＶＮＦデータベース３３０にも送信される。一方、ＶＮＦ提供者が更新可能なＶＮＦでない場合、登録更新装置１０６０は、ステップＳ１１４９において、サードパーティー端末９１０に対して更新不可のエラー通知を行なう。サードパーティー端末９１０は、ステップＳ１１５１において、更新不可のＶＮＦであるとのエラー表示を行なう。

ステップＳ１１５３において、ＶＮＦデータベース３３０は、対象のＶＮＦの電子署名付ＶＮＦデータを抽出して、制御装置３１０に送信する。制御装置３１０は、ステップＳ１１５５において、電子署名付ＶＮＦデータを取得する。また、ステップＳ１１５７において、認証サーバ３２０は、対象のＶＮＦまたはＶＮＦ提供者（１提供者が１ＶＮＦを提供する場合）に対応する検証鍵（公開鍵）を抽出して、制御装置３１０に送信する。制御装置３１０は、ステップＳ１１５９において、検証鍵（公開鍵）を取得する。そして、制御装置３１０は、ステップＳ１１６１において、取得した電子署名付ＶＮＦデータと検証鍵（公開鍵）とを用いて、電子署名が正当か不当かを判定する。

電子署名付ＶＮＦデータの電子署名が正当と判定された場合、制御装置３１０は、ステップＳ１１６３において、取得したＶＮＦを更新対象のＶＮＦとしてサードパーティー端末９１０に送信する。サードパーティー端末９１０は、ステップＳ１１６５において、更新対象のＶＮＦを取得する。なお、更新対象のＶＮＦは、サードパーティー端末９１０で更新されても、サードパーティー端末９１０の指示に基づいて制御装置３１０で行なわれてもよい。一方、電子署名付ＶＮＦデータの電子署名が不当と判定された場合、制御装置３１０は、ステップＳ１１６７において、取得したＶＮＦが不正登録や改ざん、あるいは誤登録されたＶＮＦの恐れがあるとして、ＶＮＦの取得を中止してエラーをサードパーティー端末９１０に通知する。サードパーティー端末９１０は、ステップＳ１１６９において、不正登録や改ざん、あるいは誤登録された恐れがあるＶＮＦの取得エラーを画面に表示してＶＮＦ提供者に報知する。

以下、更新後のＶＮＦの登録は、図１１Ａの登録動作と同様なので、図示および説明を省略する。

《制御装置の機能構成》
図１２は、本実施形態に係る制御装置３１０の機能構成を示すブロック図である。なお、図１２において、図５と同様の機能構成部には同じ参照番号を付して、説明を省略する。

制御装置３１０は、さらに、登録更新制御部１２１４を備える。また、インタフェース５１１には、さらに、登録更新制御部１２１４と登録更新装置１０６０とが接続される。登録更新制御部１２１４は、登録更新装置１０６０を介してサードパーティー端末９１０から受信したＶＮＦの登録あるいは更新の指示に基づいて、ＶＮＦの登録処理と更新処理を制御する。また、ＶＮＦの登録処理と更新処理の処理結果が、インタフェース５１１から登録更新装置１０６０を介して、サードパーティー端末９１０に通知される。

《登録更新装置の機能構成》
図１３Ａは、本実施形態に係る登録更新装置１０６０の機能構成を示すブロック図である。

登録更新装置１０６０は、インタフェース１３１１と、サードパーティー認証部１３１２と、登録更新可能判定部１３１３と、を備える。

インタフェース１３１１は、仮想ネットワークシステム２００を構成する他の構成要素との通信を行なう。本実施形態においては、サードパーティー端末９１０と接続して、ＶＮＦ提供者が入力したＶＮＦの登録指示または更新指示とＶＮＦ情報や提供者情報とを受信し、ＶＮＦの登録結果または更新結果をサードパーティー端末９１０に送信する。また、制御装置３１０と接続して、本実施形態においては、サードパーティー端末９１０から受信したＶＮＦ情報や提供者情報とを制御装置３１０に送信する。

サードパーティー認証部１３１２は、サードパーティー端末９１０およびサードパーティー端末９１０を用いて仮想ネットワークシステム２００を操作するＶＮＦ提供者を認証する。登録更新可能判定部１３１３は、登録更新可能判定テーブル１３３０を有し、ＶＮＦ提供者が登録あるいは更新の対象とするＶＮＦに対するＶＮＦ提供者の操作が許可されているか否かを判定する。

（登録更新可能判定テーブル）
図１３Ｂは、本実施形態に係る登録更新可能判定テーブル１３３０の構成を示す図である。登録更新可能判定テーブル１３３０は、ＶＮＦ提供者が登録あるいは更新の対象とするＶＮＦに対するＶＮＦ提供者の操作が許可されているか否かを判定するために使用される。

登録更新可能判定テーブル１３３０は、提供者情報（サードパーティー）１３３１に対応付けて、操作が許されているＶＮＦ（図では登録更新可能な機能）１３３２を記憶する。

《制御装置のＶＮＦ登録・更新処理の手順》
図１４Ａは、本実施形態に係る制御装置３１０のＶＮＦ登録・更新処理の手順を示すフローチャートである。

制御装置３１０は、ステップＳ１４０１において、ＶＮＦの登録または更新の指示であるか否かを判定する。ＶＮＦの登録指示または更新指示であれば、制御装置３１０は、ステップＳ１４０３において、登録指示か更新指示かを判定する。更新指示であれば、制御装置３１０は、ステップＳ１４０５において、ＶＮＦ更新処理を実行する。更新処理後、制御装置３１０は、ステップＳ１４０７において、ＶＮＦ登録処理を実行する。一方、登録処理であれば、制御装置３１０は、ステップＳ１４０７において、ＶＮＦ登録処理を実行する。また、ＶＮＦの登録指示または更新指示でなければ、制御装置３１０は、ステップＳ１４０９において、ＶＮＦの登録あるいは更新ではない他の処理を行なう。他の処理には、前述のＶＮＦの起動や変更の処理や、ＶＮＦの起動あるいは変更を含まないパス制御や経路制御なども含まれる。

（ＶＮＦ更新処理）
図１４Ｂは、本実施形態に係るＶＮＦ更新処理（Ｓ１４０５）の手順を示すフローチャートである。

制御装置３１０は、ステップＳ１４１１において、登録対象のＶＮＦ識別子と提供者情報とを登録更新装置１０６０から受信する。次に、制御装置３１０は、ステップＳ１４１３において、登録対象のＶＮＦ識別子と提供者情報とを認証サーバ３２０およびＶＮＦデータベース３３０に送信する。そして、制御装置３１０は、ステップＳ１４１５において、ＶＮＦデータベース３３０から電子署名付ＶＮＦを取得する。また、制御装置３１０は、ステップＳ１４１７において、認証サーバ３２０から対応する検証鍵（公開鍵）を取得する。そして、制御装置３１０は、ステップＳ８１３において、取得した電子署名付ＶＮＦと検証鍵（公開鍵）とに基づいて、電子署名が正当か不当かの判定処理を実行する。なお、ステップＳ８１３は、図８Ｂと同様のアルゴリズムである。

制御装置３１０は、ステップＳ１４１９において、電子署名が正当か不当かの判定結果から処理を分岐する。電子署名が正当の場合、制御装置３１０は、ステップＳ１４２１において、ＶＮＦデータベース３３０から取得したＶＮＦに対する更新を許可する。制御装置３１０は、ステップＳ１４２３において、ＶＮＦ提供者によるＶＮＦ更新の終了を待つ。ＶＮＦ更新が終了すればリターンする。一方、電子署名が不当の場合、制御装置３１０は、ステップＳ１４２５において、サードパーティー端末９１０にＶＮＦの更新エラーを通知して、リターンする。

（ＶＮＦ登録処理）
図１４Ｃは、本実施形態に係るＶＮＦ登録処理（Ｓ１４０７）の手順を示すフローチャートである。

制御装置３１０は、ステップＳ１４３１において、電子署名生成のアルゴリズムを認証サーバ３２０から取得する。制御装置３１０は、ステップＳ１４３３において、提供者情報に基づいて、署名鍵（秘密鍵）と検証鍵（公開鍵）とのペアを生成する。そして、制御装置３１０は、ステップＳ１４３５において、生成された検証鍵（公開鍵）を提供者情報と共に認証サーバ３２０に送信して、提供者情報（または機能）により検索可能な保存を指示する。

制御装置３１０は、ステップＳ１４３７において、登録するＶＮＦと提供者情報と署名鍵（秘密鍵）とに基づいて電子署名を生成する。そして、制御装置３１０は、ステップＳ１４３９において、ＶＮＦデータベース３３０に対して、生成した電子署名付ＶＮＦを提供者情報（または機能）により検索可能に保存するよう指示する。

制御装置３１０は、ステップＳ１４４１において、ＶＮＦ登録の場合は登録完了をサードパーティー端末９１０に通知し、ＶＮＦ更新の場合は更新完了をサードパーティー端末９１０に通知する。

本実施形態によれば、オペレータがサードパーティー製の仮想ネットワーク機能を入れて仮想ネットワークシステムを構築しようとした場合であっても、仮想ネットワーク機能を提供者情報の電子署名で保護するので、不正登録や改ざん、あるいは誤登録の発生を防止することができる。

［第４実施形態］
次に、本発明の第４実施形態に係る仮想ネットワークシステムについて説明する。本実施形態に係る仮想ネットワークシステムは、上記第２実施形態および第３実施形態と比べると、複数の仮想ネットワークシステムを統合して管理する仮想ネットワークシステムにおける仮想ネットワーク機能の不正登録や改ざん、あるいは誤登録の発生を防止する点で異なる。その他の構成および動作は、第２実施形態、第３実施形態と同様であるため、同じ構成および動作については同じ符号を付してその詳しい説明を省略する。

《仮想ネットワークシステム》
以下、図１５および図１６を参照して、本実施形態の仮想ネットワークシステムを詳細に説明する。なお、個々の仮想ネットワークシステムにおける機能要素、例えば、制御装置などの構成および動作は、第２実施形態または第３実施形態と同様である。

（システム構成）
図１５は、本実施形態に係る仮想ネットワークシステム１５００の構成を示すブロック図である。なお、図１５において、図３Ａと同様の機能構成部には同じ参照番号を付して、説明を省略する。

仮想ネットワークシステム１５００は、図３Ａの仮想ネットワークシステム２００に相当する複数の仮想ネットワークシステムあるいは異なるネットワークシステムを有する。例えば、制御装置１５３０により制御される他の仮想ネットワークシステムが図示されている。これらの複数の仮想ネットワークシステムあるいは異なるネットワークシステムと接続し、それらを統合的に制御する統合制御装置１５２０を備える。統合制御装置１５２０は、オペレータ端末群およびサードパーティー端末群が接続された運用管理装置１５１０を介して、ＶＮＦの登録・更新やＶＮＦの起動・変更の指示を受信して、複数の仮想ネットワークシステムあるいは異なるネットワークシステムを統合的に管理する。ここで、統合制御装置１５２０が制御する複数のネットワークシステムの各ネットワークシステムは、例えば、キャリアネットワーク、データセンター、トランスポートネットワーク等であり、それらを仮想的に実現したネットワークであってもよい。

図１５の仮想ネットワークシステム１５００においては、各仮想ネットワークシステムは図３Ａの仮想ネットワークシステム２００と同様の構成を有し、自身でＶＮＦの登録・更新やＶＮＦの起動・変更の指示を制御し、ＶＮＦ管理や経路管理を行なう構成である。

（動作手順）
図１６は、本実施形態に係る仮想ネットワークシステム１５００の動作手順を示すシーケンス図である。

サードパーティー端末群が、ステップＳ１６０１において、ＶＮＦの登録指示あるいは更新指示をすると、運用管理装置１５１０は、ステップＳ１６０３において、ＶＮＦ提供者（サードパーティー）の認証を行なう。認証ＯＫであれば、統合制御装置１５２０は、ステップＳ１６０５において、ＶＮＦの登録指示あるいは更新指示に基づいて、ＶＮＦの登録先の仮想ネットワークシステムあるいはＶＮＦ更新先の仮想ネットワークシステムを選択する。そして、それぞれの仮想ネットワークシステムを制御する制御装置３１０…１５３０に、ＶＮＦの登録指示あるいは更新指示を伝達する。

ＶＮＦの登録指示あるいは更新指示を受信した制御装置３１０…１５３０は、ステップＳ１６０７において、ＶＮＦの登録あるいは更新処理として、本実施形態の以下の処理を実行する。１つ目は、署名鍵（秘密鍵）および検証鍵（公開鍵）の生成である。２つ目は、署名鍵（秘密鍵）を用いた電子署名の生成と電子署名付ＶＮＦの格納である。３つ目は、生成された検証鍵（公開鍵）の保存である。それぞれの仮想ネットワークシステムでＶＮＦの登録あるいは更新が完了すると、制御装置３１０…１５３０から統合制御装置１５２０に通知される。統合制御装置１５２０は、ステップＳ１６０９において、ＶＮＦの登録あるいは更新の完了を、運用管理装置１５１０を経由して、ＶＮＦの登録あるいは更新を要求したサードパーティー端末に通知する。通知を受けたサードパーティー端末は、ステップＳ１６１１において、ＶＮＦの登録完了あるいは更新完了を表示する。なお、エラーの場合は図示していない。

また、オペレータ端末群が、ステップＳ１６２１において、ＶＮＦの起動指示あるいは変更指示をすると、運用管理装置１５１０は、ステップＳ１６２３において、オペレータの認証を行なう。認証ＯＫであれば、統合制御装置１５２０は、ステップＳ１６２５において、ＶＮＦの起動指示あるいは変更指示に基づいて、ＶＮＦの起動先の仮想ネットワークシステムあるいはＶＮＦ変更先の仮想ネットワークシステムを選択する。そして、それぞれの仮想ネットワークシステムを制御する制御装置３１０…１５３０に、ＶＮＦの起動指示あるいは変更指示を伝達する。

ＶＮＦの起動指示あるいは変更指示を受信した制御装置３１０…１５３０は、ステップＳ１６２７において、ＶＮＦの起動あるいは変更処理として、本実施形態の以下の処理を実行する。すなわち、電子署名付ＶＮＦの検証鍵（公開鍵）による検証を行なう。そして、制御装置３１０…１５３０は、ステップＳ１６２９において、起動あるいは変更するＶＮＦを仮想ネットワークシステムに設定する。それぞれの仮想ネットワークシステムでＶＮＦの起動あるいは変更が完了すると、制御装置３１０…１５３０から統合制御装置１５２０に通知される。統合制御装置１５２０は、ステップＳ１６３１において、ＶＮＦの起動あるいは変更の完了を、運用管理装置１５１０を経由して、ＶＮＦの起動あるいは変更を要求したオペレータ端末に通知する。オペレータ端末は、ステップＳ１６３３において、ＶＮＦの起動完了あるいは変更完了を表示する。なお、エラーの場合は図示していない。

《統合制御装置の機能構成》
図１７は、本実施形態に係る統合制御装置１５２０の機能構成を示すブロック図である。

統合制御装置１５２０は、インタフェース１７０１と、各機能処理部とを備える。機能処理部としては、登録・更新あるいは起動・変更を指示されたＶＮＦを処理する仮想ネットワークシステムを選択するＶＮＦ操作先選択部１７０２を有する。また、ＶＮＦの機能や変更の原因となるスケールアウトを処理するスケールアウト制御部１７０３やマイグレーションを処理するマイグレーション制御部１７０４を有する。また、新たな仮想ネットワークサービスを生成する仮想ネットワークサービス生成部１７０５や既存の仮想ネットワークサービスを削除する仮想ネットワークサービス削除部１７０６を有する。図１７に図示した機能処理部は一例であって、仮想ネットワークシステム１５００を統合処理するための他の機能制御部が接続されてもよい。

インタフェース１７０１は、運用管理装置１５１０を介して、オペレータ端末群やサードパーティー端末群からの指示に付随する、ＶＮＦ情報、ＶＮＦ操作情報、オペレータ情報、提供者情報などを受信して、処理結果をオペレータ端末群やサードパーティー端末群に送信する。また、インタフェース１７０１は、制御装置群に対して、仮想ネットワークサービスあるいはＶＮＦの操作をするための、ＶＮＦ情報、ＶＮＦ操作情報、オペレータ情報、提供者情報などを送信し、処理結果を制御装置群から受信する。

（統合制御テーブル）
図１８は、本実施形態に係る統合制御テーブル１８００の構成を示す図である。統合制御テーブル１８００は、統合制御装置１５２０が仮想ネットワークシステム１５００を統合的に管理するために使用される。なお、統合制御テーブル１８００の内容は図１８に限定されない。統合制御装置１５２０の処理内容に対応して拡張が可能である。

統合制御テーブル１８００は、仮想ネットワークサービスＩＤ１８０１に対応付けて、その仮想ネットワークサービスを制御する制御装置ＩＤ１８０２と、その仮想ネットワークサービスで使用中のＶＮＦ１８０３と、接続可能なＶＮＦ１８０４と、交換可能なＶＮＦ１８０５とを記憶する。統合制御テーブル１８００は、さらに、接続（あるいは交換）可能な経路位置１８０６と、接続不可のＶＮＦ１８０７と、を記憶する。

《統合制御装置の処理手順》
図１９は、本実施形態に係る統合制御装置１５２０の処理手順を示すフローチャートである。

統合制御装置１５２０は、ステップＳ１９０１において、ＶＮＦの操作指示を受信したか否かを判定する。ＶＮＦの操作指示を受信した場合、統合制御装置１５２０は、ステップＳ１９０３において、操作指示がＶＮＦの登録・更新か起動・変更かを判定する。

操作指示がＶＮＦの登録・更新の場合、統合制御装置１５２０は、ステップＳ１９１１において、提供者情報、ＶＮＦ情報を操作先の制御装置に送信して、ＶＮＦの登録あるいは更新を指示する。統合制御装置１５２０は、ステップＳ１９１３において、ＶＮＦの登録あるいは更新が正常に完了したか否かを判定する。ＶＮＦの登録あるいは更新が正常に完了した場合、統合制御装置１５２０は、ステップＳ１９１５において、ＶＮＦの登録あるいは更新が正常に完了したことを提供者端末（サードパーティー端末）に通知する。ＶＮＦの登録あるいは更新が正常に完了しなかった場合、統合制御装置１５２０は、ステップＳ１９１７において、ＶＮＦの登録エラーあるいは更新エラーが発生したことを提供者端末（サードパーティー端末）に通知する。

一方、操作指示がＶＮＦの起動・変更の場合、統合制御装置１５２０は、ステップＳ１９２１において、オペレータ情報、提供者情報、ＶＮＦ情報を操作先の制御装置に送信して、ＶＮＦの起動あるいは変更を指示する。統合制御装置１５２０は、ステップＳ１９２３において、ＶＮＦの起動あるいは変更が正常に完了したか否かを判定する。ＶＮＦの起動あるいは変更が正常に完了した場合、統合制御装置１５２０は、ステップＳ１９２５において、ＶＮＦの起動あるいは変更が正常に完了したことをオペレータ端末に通知する。ＶＮＦの起動あるいは変更が正常に完了しなかった場合、統合制御装置１５２０は、ステップＳ１９２７において、ＶＮＦの起動エラーあるいは変更エラーをオペレータ端末に通知する。

本実施形態によれば、オーケストレーションを実現する仮想ネットワークシステムにおいて、オペレータがサードパーティー製の仮想ネットワーク機能に基づいて仮想ネットワークサービスを提供しようとした場合であっても、各仮想ネットワークサービスにおいて不正登録や改ざん、あるいは誤登録の発生を防止することができる。

［第５実施形態］
次に、本発明の第５実施形態に係る仮想ネットワークシステムについて説明する。本実施形態に係る仮想ネットワークシステムは、上記第４実施形態と比べると、各制御装置が仮想ネットワーク機能の認証するのではなく、統合制御装置が全体の仮想ネットワーク機能の認証をする点で異なる。その他の構成および動作は、第２実施形態から第４実施形態と同様であるため、同じ構成および動作については同じ符号を付してその詳しい説明を省略する。

《仮想ネットワークシステム》
図２０は、本実施形態に係る仮想ネットワークシステム２０００の構成を示すブロック図である。なお、図２０において、図１５と同様の機能構成部には同じ参照番号を付して、説明を省略する。

仮想ネットワークシステム２０００においては、統合制御装置２０２０が認証サーバ２０３０を有して、仮想ネットワークシステム２０００の仮想ネットワークサービス全体のＶＮＦの操作を認証する。したがって、仮想ネットワークシステム２０００の各仮想ネットワークシステム２０１０は、各々の認証サーバを有していない。

《統合制御装置の機能構成》
図２１は、本実施形態に係る統合制御装置２０２０の機能構成を示すブロック図である。図２１において、図１７と同様の機能構成部には同じ参照番号を付して、説明を省略する。

統合制御装置２０２０は、操作する対象のＶＮＦを認証するための電子署名を生成し、かつ、電子署名を検証する電子署名生成検証部２１０６を有する。また、インタフェース１７０１を介して、認証サーバ２０３０が接続される。なお、認証サーバ２０３０は、統合制御装置２０２０の内部にあってもよい。

なお、認証サーバ２０３０の構成は、対象となる仮想ネットワークシステムやサービスを選択するための情報が追加されるのみで、図７Ａ乃至図７Ｇに示した認証サーバ３２０から想定できるので、詳細な図示や説明を省略する。

《他の仮想ネットワークシステム》
図２２は、本実施形態に係る仮想ネットワークシステム２２００の構成を示すブロック図である。図２２は、複数の仮想ネットワークシステム２００と２２０１とが、認証サーバ２２２０を共有する構成を示したものである。なお、ＶＮＦデータベースを複数の仮想ネットワークシステム２００と２２０１とで共有する構成もありえる。また、図２２において、図１５と同様の機能構成部には同じ参照番号を付して、説明を省略する。

仮想ネットワークシステム２２０１は、制御装置２２１０と、ＶＮＦデータベース２２３０と、仮想ネットワークサービス２２４０と、を備え、認証サーバ２２２０については、仮想ネットワークシステム２００と共有している。

なお、共有する認証サーバ２２２０の構成は、対象となる仮想ネットワークシステムやサービスを選択するための情報が追加されるのみで、図７Ａ乃至図７Ｇに示した認証サーバ３２０から想定できるので、詳細な図示や説明を省略する。

本実施形態によれば、オーケストレーションを実現する仮想ネットワークシステムにおいて、オペレータがサードパーティー製の仮想ネットワーク機能に基づいて仮想ネットワークサービスを提供しようとした場合であっても、少ない構成によって不正登録や改ざん、あるいは誤登録の発生を防止することができる。

［第６実施形態］
次に、本発明の第６実施形態に係る仮想ネットワークシステムについて説明する。本実施形態に係る仮想ネットワークシステムは、上記第２実施形態乃至第５実施形態と比べると、仮想ネットワーク機能について特殊な管理をする点で異なる。その他の構成および動作は、第２実施形態から第５実施形態と同様であるため、同じ構成および動作については同じ符号を付してその詳しい説明を省略する。

（仮想ネットワーク機能の有効期間）
図２３は、本実施形態に係る仮想ネットワーク機能の有効期間を設定する場合を示す図である。図２３において、図７Ａと同様の構成要素には同じ参照番号を付して、説明を省略する。

認証サーバ３２０には、検証鍵（公開鍵）７０２の有効期間２３０３が設定されている。また、ＶＮＦデータベース３３０には、電子署名付ＶＮＦデータ７０６の有効期間２３０７が設定されている。

かかる有効期間が終了すると、検証鍵（公開鍵）７０２および電子署名付ＶＮＦデータ７０６は削除あるいは使用不可となる。有効期間の終了は、ＶＮＦ提供者に通知され、新たなＶＮＦが登録されることになる。

（仮想ネットワーク機能の相性）
図２４は、本実施形態に係る仮想ネットワーク機能の相性を考慮する場合を示す図である。

各ＶＮＦ２４０１には、そのＶＮＦに接続可能なＶＮＦ２４０２と、そのＶＮＦに接続不可のＶＮＦ２４０３と、を記憶する。かかるテーブルを使用することによって、電子署名による不正登録や改ざん、あるいは誤登録の発生を防止するのに加えて、ＶＮＦが接続可能か否かに基づく仮想ネットワークサービスの誤動作を防止することができる。

本実施形態によれば、有効期間が来れば仮想ネットワーク機能が更新されて認証情報も更新され、また、相性の悪い仮想ネットワーク機能はそもそも使用できないようにするので、不正登録や改ざん、あるいは誤登録への遭遇を防止することができる。

［他の実施形態］
以上、実施形態を参照して本発明を説明したが、本発明は上記実施形態に限定されるものではない。本発明の構成や詳細には、本発明のスコープ内で当業者が理解し得る様々な変更をすることができる。また、それぞれの実施形態に含まれる別々の特徴を如何様に組み合わせたシステムまたは装置も、本発明の範疇に含まれる。

また、本発明は、複数の機器から構成されるシステムに適用されてもよいし、単体の装置に適用されてもよい。さらに、本発明は、実施形態の機能を実現する制御プログラムが、システムあるいは装置に直接あるいは遠隔から供給される場合にも適用可能である。したがって、本発明の機能をコンピュータで実現するために、コンピュータにインストールされるプログラム、あるいはそのプログラムを格納した媒体、そのプログラムをダウンロードさせるＷＷＷ(World Wide Web)サーバも、本発明の範疇に含まれる。特に、少なくとも、上述した実施形態に含まれる処理ステップをコンピュータに実行させるプログラムを格納した非一時的コンピュータ可読媒体（non-transitory computer readable medium）は本発明の範疇に含まれる。

この出願は、２０１５年２月３日に出願された日本国特許出願 特願２０１５－０１９７９７号を基礎とする優先権を主張し、その開示の全てをここに取り込む。

Claims (3)

1. 仮想ネットワークサービスの機能の１つを提供する、予め登録された仮想ネットワーク機能に対する更新を、前記仮想ネットワーク機能の提供者が指示する手段と、
   前記提供者によって前記更新が指示された前記仮想ネットワーク機能に対する前記更新が許可されているか否かを判定する手段と、
   前記更新が許可されている場合に、前記更新が指示された仮想ネットワーク機能が正当な提供者によって提供されていることを、前記提供者を示す識別情報に対応付けられた電子署名付仮想ネットワーク機能と、前記提供者を示す識別情報に対応付けられた検証鍵とに基づき認証する手段と、
   前記更新が指示された仮想ネットワーク機能が正当な提供者によって提供されたことが認証された場合に、前記更新が指示された仮想ネットワーク機能を前記更新を指示した提供者に送信する手段と、
   を備える仮想ネットワークシステム。
2. 前記検証鍵および前記電子署名付仮想ネットワーク機能は、前記仮想ネットワーク機能の登録時に生成される請求項１に記載の仮想ネットワークシステム。
3. 仮想ネットワークサービスの機能の１つを提供する、予め登録された仮想ネットワーク機能に対する更新を、前記仮想ネットワーク機能の提供者が指示し、
   前記提供者によって前記更新が指示された前記仮想ネットワーク機能に対する前記更新が許可されているか否かを判定し、
   前記更新が許可されている場合に、前記更新が指示された仮想ネットワーク機能が正当な提供者によって提供されていることを、前記提供者を示す識別情報に対応付けられた電子署名付仮想ネットワーク機能と、前記提供者を示す識別情報に対応付けられた検証鍵とに基づき認証し、
   前記仮想ネットワーク機能が正当な提供者によって提供されたことが認証された場合に、前記更新が指示された仮想ネットワーク機能を前記更新を指示した提供者に送信する仮想ネットワーク制御方法。

Images